漏洞预警 | Cisco ASA/FTD软件目录遍历漏洞曝光；SAP NETWEAVER AS JAVA 漏洞披露
Cisco ASA/FTD软件目录遍历漏洞曝光
漏洞信息
近期，Cisco官方披露了一个编号为CVE-2020-3452的ASA/FTDU 软件的目录遍历漏洞。该漏洞会允许恶意人员在未经身份验证的情况下，使用目录遍历攻击来读取目标系统上的敏感文件，这样的行为会导致恶意攻击者可以获取到WEB服务中的WebVPN配置、书签、Web Cookie以及部分Web内容和 HTTP URL之类的信息。
影响版本
当前受该漏洞影响的有使用了WebVPN配置或AnyConnect功能的设备。
此漏洞不能用于访问ASA/FTD系统文件或底层操作系统（OS）文件。
Cisco ASA：<= 9.6
Cisco ASA：9.7, 9.8, 9.9, 9.10, 9.12, 9.13, 9.14
Cisco FTD：6.2.2, 6.2.3, 6.3.0, 6.4.0, 6.5.0, 6.6.0
ASA/FTD 易受攻击的配置：
AnyConnect IKEv2 Remote Access (with client services) | crypto ikev2 enable |
AnyConnect SSL VPN | webvpn enable |
Clientless SSL VPN | webvpn enable |
AnyConnect IKEv2 Remote Access (with client services)1,2 | crypto ikev2 enable |
AnyConnect SSL VPN1,2 | webvpn enable |
漏洞分析
该目录遍历漏洞是由受影响的设备处理的HTTP请求中的URL缺乏正确的输入验证所致。攻击者可以通过将包含目录遍历字符序列的特制HTTP请求发送到受影响的设备来利用此漏洞。成功的利用可能使攻击者可以在目标设备上查看Web服务文件系统内的任意文件。但该漏洞仅能使恶意人员在Web服务系统中查看文件，并不能访问ASA/FTD系统文件以及底层OS文件。建议使用该软件的用户直接升级当前ASA/FTD软件的版本到最新修复的版本，来规避该风险。
SAP NETWEAVER AS JAVA 漏洞披露（CVE-2020-6287）
漏洞信息
近期，SAP发布了一个安全更新，用以解决一个编号为CVE-2020-6287的严重漏洞。此漏洞存在于SAP NetWeaver AS Java（LM配置向导）中。该漏洞的存在允许攻击者在受影响的SAP系统上进行高特权操作，在未经身份验证的情况下，创建高权限的新SAP用于对SAP系统的完全操控。
影响版本
SAP NetWeaver AS Java：7.30, 7.31, 7.40, 7.50
漏洞存在的原因是由于SAP NetWeaver AS for Java的Web 组件中缺少身份验证，从而导致可在SAP系统上执行一些高权限的操作。该漏洞如成功利用，会使未经身份验证的远程攻击者通过创建高权限用户来执行系统命令，继而达到不受限制操控SAP系统的目的，严重的可导致SAP应用被关闭、修改或获取高度敏感的信息以及破坏关键业务流程，对SAP应用程序托管的数据和流程的机密性、完整性和可用性造成巨大威胁。建议用户立即安装更新官方最新发布的修复补丁，来规避该风险。
本周发生的事件有Cisco ASA/FTD软件目录遍历漏洞和编号为CVE-2020-6287的SAP NETWEAVER AS JAVA 漏洞。
1
Cisco ASA/FTD软件目录遍历漏洞，是由于HTTP请求中的URL缺乏正确的输入验证所致的。易致使攻击者通过该漏洞，发送精心制作HTTP恶意请求，来读取Web服务文件系统内的任意敏感文件。建议使用该软件的用户升级当前ASA/FTD软件的版本到最新修复的版本，来避免后续可能造成的安全问题。
2
SAP NETWEAVER AS JAVA 漏洞是存在于SAP NetWeaver AS Java（LM配置向导）中，该漏洞的影响较大，会直接导致SAP系统在未经身份验证的情况下被黑客操控。建议更新到最新修复的补丁，避免系统被他人操控，造成不必需要的损失。
- 用户评论
